高 7.1

Candlepinに別組織へ不正にシステムを登録される脆弱性

CVE-2026-111456 SecPulse初出 5:04

概要

Candlepinの消費者登録機能に認可チェックの漏れが見つかり、正規の消費者証明書を持つ攻撃者が、別の組織に新しい消費者を登録できるおそれがあります。登録に成功すると、その組織のサブスクリプションプールを閲覧でき、簡易コンテンツアクセスを使っていない組織では権利も紐づけられるとされています。CVSSは7.1で、この脆弱性に対する修正版の有無は公表されていないため、最新の情報を確認してください。

AI要約

SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

A missing authorization check has been found in ConsumerResource.setupOwner() function of consumer registration module in the Candlepin package. The registration method checks permission to create a consumer only when the caller is a user. A consumer that authenticates with its identity certificate does not go through that check. A low-privileged network attacker or user who has a valid consumer certificate for one organization can register a new consumer in a different organization by supplying that organization's key. The response includes an identity certificate for the new consumer. With that certificate, the attacker can view the target organization's subscription pools. When the organization is not using simple content access, the attacker can attach that organization's entitlements to the new consumer.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory